Nový zákon o KSC a JST: co musí vedení vědět a od čeho začít

Tento článek je určen starostům okresů, starostům a primátorům obcí a měst, sekretářům a skarbnikům (treasurerům). Nepopisuji v něm, jak systémy technicky zabezpečit – to je úkol pro IT specialisty a odborníky na bezpečnost. Popisuji, co zákon znamená pro osoby, které podepisují rozhodnutí a rozpočet.

Co se změnilo a od kdy

Zákon ze dne 23. ledna 2026 o změně zákona o národním systému kybernetické bezpečnosti (Sb. zákonů z roku 2026, pol. 252) nabyl účinnosti 3. dubna 2026. Zavedl rozdělení na klíčové subjekty a důležité subjekty, přičemž úřady samosprávy do něj byly zařazeny přímo, v sektoru „veřejné subjekty“.

Lhůty z přechodných ustanovení, které by vedení mělo znát:

• 12 měsíců na splnění povinností z kapitoly 3 zákona, počítáno od nabytí účinnosti zákona. Pro úřady, na něž se zákon vztahuje od počátku, to znamená 3. dubna 2027.
• 24 měsíců na první audit bezpečnosti informačního systému. Týká se klíčových subjektů; poté se audit opakuje nejméně jednou za 3 roky.
• Peněžní pokuty poprvé po uplynutí 2 let od nabytí účinnosti zákona, tedy po 3. dubnu 2028.

Seznam klíčových a důležitých subjektů funguje od 13. dubna 2026. Veřejné subjekty do něj zapisuje ministr příslušný pro informatizaci z úřední moci a následně je vyzývá k doplnění chybějících údajů. Na doplnění je 6 měsíců od doručení výzvy, pod sankcí pokuty. Stojí za to ověřit, zda taková výzva na úřad již dorazila a kdo se jí zabýval.

Samoregistrace a úřady. Lhůta pro samoregistraci v seznamu uplynula 3. října 2026, ale podle sdělení Ministerstva digitalizace se týkala organizací, které se zapisují samy, například firem. Veřejné subjekty se zapisují z úřední moci a žádost o zápis nepodávají. Jejich úkol začíná po obdržení výzvy: je třeba doplnit údaje v seznamu. Úřad, který výzvu dosud neobdržel, tedy se samoregistrací nezpožďuje, ale stojí za to zjistit, kdo v úřadu taková podání přijímá a zda organizační jednotky a municipální společnosti ověřily svůj status samostatně. Sdělení nepopisuje důsledky nedodržení lhůty 3. října, proto na něm nezakládám žádné závěry ohledně sankcí.

Týká se zákon vašeho úřadu?

V příloze č. 1 zákona, v sektoru „veřejné subjekty“, jsou mimo jiné uvedeny:

• úřad starosty okresu (powiat), bez ohledu na velikost;
• úřad obce, pokud k 1. lednu daného roku zaměstnává na pracovní smlouvu nejméně 50 osob v přepočtu na plné úvazky.

Tyto jednotky jsou klíčovými subjekty. Důležitým subjektem je naopak veřejný subjekt, který není klíčový, a je samosprávní rozpočtovou jednotkou, samosprávním rozpočtovým zařízením, samosprávní kulturní institucí nebo společností vykonávající úkoly veřejné prospěšnosti, pokud plní veřejný úkol s využitím informačních systémů. Menší úřad obce a organizační jednotky samosprávy tak rovněž mají povinnosti, jen v užším rozsahu. Status každé jednotky stojí za to potvrdit s právníkem úřadu.

Klíčový subjekt zavádí plný systém řízení bezpečnosti informací popsaný v čl. 8 zákona a prochází auditem. Důležitý subjekt, který je veřejným subjektem, místo toho uplatňuje kratší seznam požadavků z přílohy č. 4. Zákon rovněž umožňuje jednotkám samosprávy organizovat společné zajištění těchto povinností nebo je na základě dohody svěřit jedné z jednotek.

Co zákon ukládá vedoucímu

Tyto předpisy nelze přenést na IT oddělení. Podle čl. 8c odpovídá vedoucí subjektu za plnění povinností v oblasti kybernetické bezpečnosti, a to i tehdy, když některé nebo všechny z nich svěřil jiné osobě. V jednotce veřejných financí je vedoucím vedoucí jednotky ve smyslu zákona o veřejných financích.

Čl. 8d vyjmenovává, co vedoucí dělá osobně:

1. rozhoduje o přípravě, zavedení, uplatňování, přezkumu a dohledu nad systémem řízení bezpečnosti informací;
2. plánuje přiměřené finanční prostředky na tyto povinnosti;
3. přiděluje úkoly a dohlíží na jejich plnění;
4. zajišťuje, že zaměstnanci znají své povinnosti a vnitřní předpisy;
5. zajišťuje soulad činnosti jednotky s předpisy.

K tomu přistupuje školení: vedoucí a osoba, které svěřil povinnosti, jím procházejí jednou v kalendářním roce, a účast musí být zdokumentována (čl. 8e).

Jaké jsou sankce

Peněžitou pokutu lze uložit jednotce a samostatně také jejímu vedoucímu.

Pro klíčový subjekt pokuta činí od 20 tis. zł do 10 mil. eur nebo 2 % příjmů z hospodářské činnosti, pro důležitý subjekt od 15 tis. zł do 7 mil. eur nebo 1,4 %. Orgán přitom přihlíží k finančním možnostem veřejného subjektu.

Vedoucí veřejného subjektu může být potrestán částkou do 100 % pobíraného platu (čl. 73a). Důvodem může být mimo jiné neplnění povinností z čl. 8 a 8d nebo absence školení.

Proč je prvním krokem soupis

Příloha č. 4, tedy seznam požadavků pro důležitý subjekt, který je veřejným subjektem, začíná bodem: inventarizace produktů, služeb a procesů ICT sloužících ke zpracování informací. Klíčový subjekt má zase systematicky odhadovat riziko, řídit aktiva a dbát o bezpečnost dodavatelského řetězce. Žádnou z těchto povinností nelze splnit, pokud úřad neví, co vlastně má.

Soupis může připravit vlastní tým úřadu. Měl by zahrnovat čtyři věci:

• Systémy. Každý systém a službu, které úřad a jeho jednotky využívají, včetně těch pořízených jednotlivými odbory mimo IT oddělení.
• Vlastníci. Kdo v odboru odpovídá za systém a kdo rozhoduje o přístupu k němu.
• Smlouvy. Dodavatel, termín, rozsah servisu, ustanovení o bezpečnosti a o tom, co se děje po ukončení smlouvy.
• Rizika. Co se stane, když systém přestane fungovat, a jak dlouho může úřad bez něj pracovat.

Na co se zeptat IT specialistů a odborníků na bezpečnost

Vedoucí nemusí hodnotit technická řešení. Měl by získat jasné odpovědi na několik otázek:

1. Jsme klíčovým, nebo důležitým subjektem? Jak to vypadá v našich organizačních jednotkách a společnostech?
2. Přišla výzva k doplnění údajů v seznamu a kdo odpovídá za dodržení termínu?
3. Máme aktuální soupis systémů, služeb a smluv? Kdy byl naposledy ověřován?
4. Kdo provádí odhad rizika a kde je to zdokumentováno?
5. Komu a jakým způsobem hlásíme závažný incident? Zákon hovoří o hlášení neprodleně, nejpozději do 72 hodin od zjištění.
6. Které úkoly splníme sami, které společně s jinými jednotkami a které zadáme externě?
7. Kolik to bude v roce 2027 stát a co z toho je povinnost a co volba?

Bez odpovědi na třetí otázku budou ostatní pouhým odhadem.

Zdroje

• Novela zákona o národním systému kybernetické bezpečnosti, Sb. zákonů z roku 2026, pol. 252 (text z Kanceláře Sejmu, PDF)
• Otázky a odpovědi „Novela KSC“, Ministerstvo digitalizace (gov.pl, PDF)
• Měsíc na samoregistraci v seznamu KSC, sdělení ze dne 3. září 2026 (gov.pl)
• Změny v systému S46 po novele (gov.pl)

Právní stav k 4. říjnu 2026. Tento článek není právní ani bezpečnostní poradou.